Exchange 및 Exchange Online 조직 간의 OAuth 인증 구성

적용 대상: Exchange Server 2013

하이브리드 구성 마법사는 Exchange 2013과 Exchange Online 조직 간에 OAuth 인증을 자동으로 구성합니다. Exchange 2013 organization Exchange 2010 또는 Exchange 2007 서버가 포함된 경우 하이브리드 구성 마법사는 온-프레미스와 온라인 Exchange 조직 간에 OAuth 인증을 구성하지 않습니다. 이러한 배포는 기본적으로 페더레이션 트러스트 프로세스를 계속 사용합니다. 그러나 특정 Exchange 2013 기능은 새 Exchange OAuth 인증 프로토콜을 사용해야만 조직 내에서 완전히 사용 가능합니다.

새 Exchange OAuth 인증 프로세스를 통해 현재 다음 Exchange 기능을 사용할 수 있습니다.

  • MRM(메시지 레코드 관리)
  • Exchange 원본 위치 eDiscovery
  • Exchange 내부 보관

하이브리드 구성 마법사를 실행한 후 모든 혼합 Exchange 2013 조직에서 Exchange OAuth 인증을 구성하는 것이 좋습니다.

중요

  • 온-프레미스 organization 누적 업데이트 5 이상이 설치된 Exchange 2013 서버만 실행하는 경우 이 항목의 단계를 수행하는 대신 하이브리드 배포 마법사를 실행합니다.

  • Exchange Server 2013의 이 기능은 현재 중국에서 21Vianet에 의해 운영되는 Office 365와는 완전히 호환되지는 않으며 일부 기능 제한이 적용될 수 있습니다. 자세한 내용은 21Vianet에서 작동하는 Office 365 참조하세요.

시작하기 전에 알아야 할 사항은 무엇인가요?

문제가 있습니까? Exchange 포럼에서 도움을 요청하세요. Exchange Server 포럼을 방문하세요.

온-프레미스 Exchange 및 Exchange Online 조직 간에 OAuth 인증을 구성하는 방법

1단계: Exchange Online organization 대한 권한 부여 서버 개체 만들기

이 절차를 수행하려면 Exchange Online 조직용으로 확인된 도메인을 지정해야 합니다. 클라우드 기반 전자 메일 계정에 사용되는 기본 SMTP 도메인과 동일한 도메인이어야 합니다. 이 도메인은 다음 절차에서 확인된 도메인>이라고 합니다<.

온-프레미스 Exchange organization Exchange 관리 셸(Exchange PowerShell)에서 다음 명령을 실행합니다.

New-AuthServer -Name "WindowsAzureACS" -AuthMetadataUrl "https://accounts.accesscontrol.windows.net/<your tenant coexistence domain>/metadata/json/1"
New-AuthServer -Name "evoSTS" -Type AzureAD -AuthMetadataUrl "https://login.windows.net/<your tenant coexistence domain>/federationmetadata/2007-06/federationmetadata.xml"

참고

GCC High 또는 DoD에서는 다음 명령을 대신 사용해야 합니다.

New-AuthServer -Name "WindowsAzureACS" -AuthMetadataUrl "https://login.microsoftonline.us/<your tenant coexistence domain>/metadata/json/1"
New-AuthServer -Name "evoSTS" -Type AzureAD -AuthMetadataUrl "https://login.microsoftonline.us/<your tenant coexistence domain>/federationmetadata/2007-06/federationmetadata.xml"

참고

테넌트 공존 도메인은 contoso.mail.onmicrosoft.com 형식입니다.

2단계: Exchange Online 조직에 대해 파트너 응용 프로그램을 사용하도록 설정합니다.

온-프레미스 Exchange 조직의 Exchange PowerShell에서 다음 명령을 실행합니다.

Get-PartnerApplication |  ?{$_.ApplicationIdentifier -eq "00000002-0000-0ff1-ce00-000000000000" -and $_.Realm -eq ""} | Set-PartnerApplication -Enabled $true

3단계: 온-프레미스 권한 부여 인증서 내보내기

이 단계에서는 Exchange 서버에서 PowerShell 스크립트를 직접 실행하여 온-프레미스 권한 부여 인증서를 내보낸 다음, 다음 단계에서 Exchange Online organization 가져와야 합니다.

  1. ExportAuthCert.ps1과 같이 이름을 지정한 PowerShell 스크립트 파일에 다음 텍스트를 저장합니다.

    $thumbprint = (Get-AuthConfig).CurrentCertificateThumbprint
    if((test-path $env:SYSTEMDRIVE\OAuthConfig) -eq $false)
    {
       md $env:SYSTEMDRIVE\OAuthConfig
    }
    cd $env:SYSTEMDRIVE\OAuthConfig
    $oAuthCert = (dir Cert:\LocalMachine\My) | where {$_.Thumbprint -match $thumbprint}
    $certType = [System.Security.Cryptography.X509Certificates.X509ContentType]::Cert
    $certBytes = $oAuthCert.Export($certType)
    $CertFile = "$env:SYSTEMDRIVE\OAuthConfig\OAuthCert.cer"
    [System.IO.File]::WriteAllBytes($CertFile, $certBytes)
    
  2. 이전 단계에서 만든 PowerShell 스크립트를 온-프레미스 Exchange 조직의 Exchange PowerShell에서 실행합니다. 예를 들면

    .\ExportAuthCert.ps1
    

4단계: ACS(Microsoft Entra Access Control Service)에 온-프레미스 권한 부여 인증서 업로드

다음으로, Windows PowerShell Azure Active Directory 모듈을 사용하여 이전 단계에서 내보낸 온-프레미스 권한 부여 인증서를 ACS(Microsoft Entra Access Control Services)에 업로드합니다. 모듈이 설치되어 있지 않으면 관리자 권한으로 Windows PowerShell 창을 열고 다음 명령을 실행합니다.

Install-Module -Name MSOnline

Windows PowerShell 대한 Azure Active Directory 모듈이 설치된 후 다음 단계를 완료합니다.

  1. Windows PowerShell 바로 가기에 대한 Azure Active Directory 모듈을 클릭하여 Microsoft Entra cmdlet이 설치된 Windows PowerShell 작업 영역을 엽니다. 이 단계의 모든 명령은 Microsoft Entra ID 콘솔에 대한 Windows PowerShell 사용하여 실행됩니다.

  2. UploadAuthCert.ps1과 같이 이름을 지정한 PowerShell 스크립트 파일에 다음 텍스트를 저장합니다.

    Connect-MsolService
    $CertFile = "$env:SYSTEMDRIVE\OAuthConfig\OAuthCert.cer"
    $objFSO = New-Object -ComObject Scripting.FileSystemObject
    $CertFile = $objFSO.GetAbsolutePathName($CertFile)
    $cer = New-Object System.Security.Cryptography.X509Certificates.X509Certificate
    $cer.Import($CertFile)
    $binCert = $cer.GetRawCertData()
    $credValue = [System.Convert]::ToBase64String($binCert)
    $ServiceName = "00000002-0000-0ff1-ce00-000000000000"
    $p = Get-MsolServicePrincipal -ServicePrincipalName $ServiceName
    New-MsolServicePrincipalCredential -AppPrincipalId $p.AppPrincipalId -Type asymmetric -Usage Verify -Value $credValue
    
  3. 이전 단계에서 만든 PowerShell 스크립트를 실행합니다. 예를 들면 다음과 같습니다.

    .\UploadAuthCert.ps1
    
  4. 스크립트를 시작하면 자격 증명 대화 상자가 표시됩니다. Microsoft Online Microsoft Entra organization 테넌트 관리자 계정에 대한 자격 증명을 입력합니다. 스크립트를 실행한 후 Microsoft Entra 세션에 대한 Windows PowerShell 열어 둡니다. 이 세션을 사용하여 다음 단계에서 PowerShell 스크립트를 실행합니다.

5단계: 내부 및 외부 온-프레미스 Exchange HTTP 엔드포인트에 대한 모든 호스트 이름 기관을 Microsoft Entra ID로 등록

하이브리드 최신 인증을 위한 내부 및 외부 URL을 포함하여 온-프레미스 Exchange organization 공개적으로 액세스할 수 있는 각 엔드포인트에 대해 이 단계에서 스크립트를 실행해야 합니다. 예를 들어 에서 Exchange를 외부에서 사용할 수 있는 https://mail.contoso.com/ews/exchange.asmx경우 서비스 주체 이름 https://mail.contoso.com를 사용합니다. 추가 외부 호스트 이름 기관을 등록하는 데는 제한이 없습니다.

온-프레미스 organization Exchange 엔드포인트를 확인하려면 Exchange 관리 셸에서 다음 명령을 실행합니다.

Get-MapiVirtualDirectory | FL server,*url*
Get-WebServicesVirtualDirectory | FL server,*url*
Get-OABVirtualDirectory | FL server,*url*

참고

다음 스크립트에서는 이전 섹션의 4단계에서 설명한 대로 Microsoft Entra ID에 대한 Windows PowerShell Microsoft 365 organization 연결해야 합니다.

  1. RegisterEndpoints.ps1과 같이 이름을 지정한 PowerShell 스크립트 파일에 다음 텍스트를 저장합니다. 이 예제에서는 contoso.com 사용합니다. 및 https://autodiscover.contoso.com/ 를 온-프레미스 Exchange organization 적절한 호스트 이름 기관으로 바꿉 https://mail.contoso.com/ 니다.

    $ServiceName = "00000002-0000-0ff1-ce00-000000000000";
    $x = Get-MsolServicePrincipal -AppPrincipalId $ServiceName;
    $x.ServicePrincipalnames.Add("https://mail.contoso.com/");
    $x.ServicePrincipalnames.Add("https://autodiscover.contoso.com/");
    Set-MSOLServicePrincipal -AppPrincipalId $ServiceName -ServicePrincipalNames $x.ServicePrincipalNames;
    
  2. Microsoft Entra ID에 대한 Windows PowerShell 이전 단계에서 만든 Windows PowerShell 스크립트를 실행합니다. 예를 들면

    .\RegisterEndpoints.ps1
    
  3. 모든 레코드가 추가되었는지 확인하려면 Microsoft Entra ID에 대해 Windows PowerShell 다음 명령을 실행하고 결과에서 항목을 찾 https://namespace 습니다.

    Get-MsolServicePrincipal -AppPrincipalId 00000002-0000-0ff1-ce00-000000000000 | select -ExpandProperty ServicePrincipalNames
    

6단계: 온-프레미스 organization Microsoft 365 또는 Office 365 IntraOrganizationConnector 만들기

Exchange Online에서 호스팅되는 사서함의 대상 주소를 정의해야 합니다. 이 대상 주소는 Microsoft 365 또는 Office 365 organization 만들 때 자동으로 만들어집니다. 예를 들어 Microsoft 365 또는 Office 365 organization 호스팅되는 organization 도메인이 "contoso.com"인 경우 대상 서비스 주소는 "contoso.mail.onmicrosoft.com"입니다.

Exchange PowerShell을 사용하여 온-프레미스 조직에서 다음 cmdlet을 실행합니다.

$ServiceDomain = Get-AcceptedDomain | where {$_.DomainName -like "*.mail.onmicrosoft.com"} | select -ExpandProperty Name
New-IntraOrganizationConnector -name ExchangeHybridOnPremisesToOnline -DiscoveryEndpoint https://outlook.office365.com/autodiscover/autodiscover.svc -TargetAddressDomains $ServiceDomain

7단계: Microsoft 365 또는 Office 365 organization 온-프레미스 Exchange organization IntraOrganizationConnector 만들기

온-프레미스 조직에서 호스팅되는 사서함의 대상 주소를 정의해야 합니다. organization 기본 SMTP 주소가 "contoso.com"에 있는 경우 대상 주소는 "contoso.com"에 있습니다.

온-프레미스 조직의 외부 자동 검색 끝점도 정의해야 합니다. 회사가 "contoso.com"인 경우 자동 검색 엔드포인트는 일반적으로 다음 값 중 하나입니다.

  • https://autodiscover.<your primary SMTP domain>/autodiscover/autodiscover.svc
  • https://<your primary SMTP domain>/autodiscover/autodiscover.svc>

참고

온-프레미스 및 Microsoft 365 또는 Office 365 테넌트 모두에서 Get-IntraOrganizationConfiguration cmdlet을 사용하여 New-IntraOrganizationConnector cmdlet에 필요한 엔드포인트 값을 확인할 수 있습니다.

Exchange Online PowerShell에 연결한 후 및 <your on-premises SMTP domain> 를 값으로 바꾸고 <your on-premises Autodiscover endpoint> 다음 명령을 실행합니다.

New-IntraOrganizationConnector -name ExchangeHybridOnlineToOnPremises -DiscoveryEndpoint <your on-premises Autodiscover endpoint> -TargetAddressDomains <your on-premises SMTP domain>

8단계: Exchange 2013 SP1 이전 버전 서버에 대해 AvailabilityAddressSpace 구성

이전 Exchange 조직에서 하이브리드 배포를 구성할 때 Exchange 2013 SP1 이상을 실행하는 Exchange 2013 서버가 하나 이상 필요합니다. Exchange 2013 서버에는 클라이언트 액세스 및 사서함 서버 역할이 필요합니다. Exchange 2013 서버는 기존 Exchange 온-프레미스 organization Exchange Online organization 간의 통신을 조정합니다. 온-프레미스 조직에 Exchange 2013 서버를 둘 이상 설치하여 하이브리드 배포 기능의 안정성과 가용성을 높이는 것이 좋습니다.

Exchange 2010 또는 Exchange 2007을 사용하는 Exchange 2013 조직에서는 모든 인터넷 연결 프런트 엔드 서버가 SP1 이상을 실행하는 Exchange 2013 클라이언트 액세스 서버인 것이 좋습니다. 모든 EWS(Exchange Web Services) 요청은 Exchange 2013 클라이언트 액세스 서버를 통과해야 합니다. 이 요구 사항에는 Microsoft 365에서 온-프레미스 Exchange organization 대한 요청 및 온-프레미스 Exchange organization Microsoft 365로의 요청이 포함됩니다. 처리 부하를 처리하고 연결 중복성을 제공하기에 충분한 Exchange 2013 클라이언트 액세스 서버가 있어야 합니다. 필요한 클라이언트 액세스 서버 수는 EWS 요청의 평균 양에 따라 달라지며 organization 따라 달라집니다.

다음 단계를 완료하기 전에 아래 내용을 확인하세요.

  • 프런트 엔드 하이브리드 서버는 Exchange 2013 SP1 이상입니다.
  • Exchange 2013 서버에 대해 고유한 외부 EWS URL이 있는지 여부. 하이브리드 기능에 대한 클라우드 기반 요청이 올바르게 작동하려면 Microsoft 365 또는 Office 365 organization 이러한 서버에 연결해야 합니다.
  • 서버에 사서함 및 클라이언트 액세스 서버 역할이 모두 있는지 여부
  • 기존 Exchange 2010/2007 사서함 및 클라이언트 액세스 서버에는 최신 CU(누적 업데이트) 또는 SP(서비스 팩)가 적용되어 있는지 여부

참고

기존 Exchange 2010/2007 사서함 서버는 비하이브리드 기능 연결을 위해 프런트 엔드 서버에 대해 Exchange 2010/2007 클라이언트 액세스 서버를 계속 사용할 수 있습니다. Microsoft 365 또는 Office 365 organization 하이브리드 배포 기능 요청만 Exchange 2013 서버에 연결해야 합니다.

AvailabilityAddressSpace는 온-프레미스 Exchange 2013 SP1 클라이언트 액세스 서버의 Exchange Web Services 엔드포인트를 가리키는 Exchange 2013 이전 클라이언트 액세스 서버에 구성되어야 합니다. 이 끝점은 앞서 5단계에서 설명한 것과 동일한 끝점이거나, 온-프레미스 Exchange 2013 SP1 클라이언트 액세스 서버에서 다음 cmdlet을 실행하여 결정할 수 있습니다.

Get-WebServicesVirtualDirectory | Format-List AdminDisplayVersion,ExternalUrl

참고

가상 디렉터리 정보가 여러 서버에서 반환되는 경우 Exchange 2013 SP1 클라이언트 액세스 서버에 대해 반환된 끝점을 사용해야 합니다. AdminDisplayVersion 매개 변수에 대해 15.0(빌드 847.32) 이상이 표시됩니다.

AvailabilityAddressSpace를 구성하려면 Exchange PowerShell을 사용하여 온-프레미스 조직에서 다음 cmdlet을 실행합니다.

Add-AvailabilityAddressSpace -AccessMethod InternalProxy -ProxyUrl <your on-premises External Web Services URL> -ForestName <your Microsoft 365 or Office 365 service target address> -UseServiceAccount $True

작동 여부는 어떻게 확인하나요?

Test-OAuthConnectivity cmdlet을 사용하면 OAuth 구성이 올바른지 확인할 수 있습니다. 이 cmdlet은 온-프레미스 Exchange 및 Exchange Online 끝점이 서로 간에 보내는 요청을 정상적으로 인증할 수 있는지 확인합니다.

온-프레미스 Exchange 조직에서 Exchange Online에 정상적으로 연결할 수 있는지 확인하려면 온-프레미스 조직의 Exchange PowerShell에서 다음 명령을 실행합니다.

Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com/ews/exchange.asmx -Mailbox <On-Premises Mailbox> -Verbose | Format-List

Exchange Online organization 온-프레미스 Exchange organization 성공적으로 연결할 수 있는지 확인하려면 Exchange Online PowerShell에 연결하고 다음 명령을 실행합니다.

Test-OAuthConnectivity -Service EWS -TargetUri <external hostname authority of your Exchange On-Premises deployment>/metadata/json/1 -Mailbox <Exchange Online Mailbox> -Verbose | Format-List

예를 들어

Test-OAuthConnectivity -Service EWS -TargetUri `https://mail.contoso.com/metadata/json/1` -Mailbox ExchangeOnlineBox1 -Verbose | Format-List

중요

"SMTP 주소에 연결된 사서함이 없습니다." 오류를 무시할 수 있습니다. ResultTask 매개 변수는 Success 값을 반환하는 것이 중요합니다. 예를 들어 테스트 출력의 마지막 섹션은 다음을 읽어야 합니다.

ResultType: Success Identity: Microsoft.Exchange.Security.OAuth.ValidationResultNodeId IsValid: True ObjectState: New

문제가 있습니까? Exchange 포럼에서 도움을 요청하세요. Exchange Server 포럼을 방문하세요.